エンタープライズ向けの Dependabot の有効化

GitHub Enterprise Server の Dependabot について

Dependabot は、ユーザーが依存関係の脆弱性を見つけて修正するのに役立ちます。最初に、Dependabot をEnterprise 向けに設定する必要があります。次に Dependabot alerts を有効にして脆弱な依存関係をユーザーに通知し、Dependabot updates を有効にして脆弱性を修正し、依存関係を更新して最新のバージョンに維持することができます。

Dependabot は、GitHub のサプライチェーンのセキュリティを強化するために使用できる多くの機能の 1 つに過ぎません。その他の機能について詳しくは、「Enterprise のサプライチェーンのセキュリティについて」を参照してください。

Dependabot alerts について

Dependabot alerts を使用して、GitHub ではリポジトリ内の安全でない依存関係を特定し、GitHub Advisory Database のデータと依存関係グラフサービスを使用して、GitHub Enterprise Server にアラートを作成します。

アドバイザリは、以下のソースから GitHub Advisory Database に追加されます。

GitHubで報告されたセキュリティアドバイザリ
National Vulnerability Database
npm セキュリティアドバイザリデータベース
FriendsOfPHP データベース
Go Vulncheck データベース
GitHub Packaging Advisory データベース
Ruby Advisory データベース
RustSec Advisory データベース
コミュニティのコード提供。詳細については、「https://github.com/github/advisory-database/pulls」を参照してください。

アドバイザリのインポート元として他のデータベースに心当たりがある場合は、https://github.com/github/advisory-database で issue をオープンしてお知らせください。

Enterprise 向けに Dependabotを設定すると、GitHub Advisory Database からインスタンスに脆弱性データが 1 時間に 1 回同期されます。 GitHub でレビューされたアドバイザリのみが同期されます。詳しくは、「GitHub Advisory Database でのセキュリティアドバイザリの参照」を参照してください。

また、脆弱性データはいつでも手動で同期することができます。詳しくは、「エンタープライズの脆弱性データの表示」を参照してください。

注: Dependabot alerts を有効にすると、GitHub Enterprise Server のコードやコードに関する情報は、GitHub.com にアップロードされません。

GitHub Enterprise Server は、脆弱性に関する情報を受け取ると、影響を受けるバージョンの依存関係を使用するリポジトリを識別して、Dependabot alerts を生成します。新しい Dependabot alerts についてユーザーに自動的に通知するかどうかを選択できます。

Dependabot alerts が有効になっているリポジトリの場合、マニフェストファイルまたはロックファイルを含む既定のブランチへの任意のプッシュでスキャンがトリガーされます。さらに新しい脆弱性レコードが追加されると、GitHub Enterprise Server ではすべての既存のリポジトリをスキャンし、脆弱なリポジトリについてのアラートを生成します。詳しくは、「Dependabot アラートについて」を参照してください。

Dependabot updates について

Dependabot alerts を有効にした後、Dependabot updates を有効にすることができます。 Dependabot updates が GitHub Enterprise Server に対して有効になっている場合、ユーザーはリポジトリを構成して、依存関係の更新とセキュリティ保護が自動的に行われるようにすることができます。

注: GitHub Enterprise Server の Dependabot updates には、セルフホステッドランナーを含む GitHub Actions が必要です。

既定では、Dependabot で使用される GitHub Actions ランナーは、上流パッケージマネージャーから更新されたパッケージをダウンロードするために、インターネットにアクセスする必要があります。 GitHub Connect を利用する Dependabot updates の場合、インターネットアクセスにより、GitHub.com でホストされる依存関係とアドバイザリへのアクセスを可能にするトークンがランナーに提供されます。

インターネットへのアクセスが制限されている、またはできない GitHub Enterprise Server インスタンス上では、特定のプライベートレジストリに対して Dependabot updates を有効にすることができます。詳しくは、「制限付きインターネットアクセスで動作するように Dependabot を構成する」を参照してください。

Dependabot updates では、GitHub によって、依存関係を更新するためのプル要求が 2 つの方法で自動的に作成されます。

Dependabot version updates : 追跡対象の依存関係の新しいバージョンがリリースされたときに Dependabot がプル要求を作成できるように、ユーザーは Dependabot 構成ファイルをリポジトリに追加します。詳しくは、「GitHub Dependabot のバージョンアップデートについて」を参照してください。
Dependabot security updates : ユーザーは、GitHub でリポジトリの依存関係グラフのいずれかの依存関係で脆弱性が検出されたときに、Dependabot がプル要求を作成できるようにリポジトリ設定を切り替えます。詳細については、「Dependabot アラートについて」および「Dependabot のセキュリティアップデート」を参照してください。

Dependabot alerts の有効化

Dependabot alerts を有効にする前に、まず Enterprise 向けに Dependabot を設定する必要があります:

GitHub Connect を有効にする必要がある。詳しくは、「GitHub.com での GitHub Connect の有効化」を参照してください。
依存関係グラフを有効にする必要がある。詳しくは、「企業の依存関係グラフの有効化」を参照してください。

GitHub Enterprise Server の右上で、ご自分のプロフィールフォトをクリックしてから、 [Enterprise 設定] をクリックします。
[Enterprise アカウント] サイドバーで、 [GitHub Connect] をクリックします。
[Dependabot] の [定期的に GitHub Advisory Database をダウンロードしてユーザーがオープンソースコードの依存関係の脆弱性アラートを受信できるようにする] の右側のドロップダウンメニューを選び、 [通知なしで有効にする] をクリックしてください。必要に応じて、通知ありでアラートを有効にするには、 [有効 (通知あり)] をクリックします。

Note

この設定では、リアルタイムの電子メール通知および Web 通知のみが制御されます。選択されているオプションに関係なく、コマンドラインインターフェイス (CLI) の警告とメールダイジェストは引き続き配信されます。

Tip

リアルタイム通知の過負荷を避けるため、最初の数日間は Dependabot alerts を通知なしに設定することをお勧めします。数日後、通知を有効化して、通常どおり Dependabot alerts を受信できます。

[コードのセキュリティと分析] のエンタープライズ設定ページで、すべての既存または新規のプライベートおよび内部リポジトリに対して Dependabot alerts を有効にできるようになりました。または、リポジトリ管理者と Organization 所有者は、リポジトリと Organization ごとに Dependabot alerts を有効にすることができます。パブリックリポジトリは常に既定で有効になっています。詳しくは、「Dependabot アラートの構成」を参照してください。

Dependabot updates の有効化

Dependabot updates を有効にする前に、次の内容を行なってください。

企業に Dependabot alerts を有効にします。詳細については、上記の「Dependabot alerts を有効にする」を参照してください。
TLS を有効にする必要があります。 Dependabot updates は、TLS を有効にする必要があるセルフホストランナーで実行されます。詳しくは、「企業向けセルフホストランナーの概要」を参照してください。
セルフホストランナーで GitHub Actions を使用するには、GitHub Enterprise Server を構成する必要があります。詳しくは、「GitHub Enterprise Server の GitHub Actions を使い始める」を参照してください。

エンタープライズでクラスタリングを使用している場合、Dependabot updates は GitHub Enterprise Server ではサポートされません。

注: 依存関係グラフを有効にすると、Dependabot アクションを使用できるようになります。脆弱性や無効なライセンスが導入される場合、アクションではエラーが発生します。アクションの詳細と、最新バージョンをダウンロードする方法の手順については、「公式のバンドルされたアクションの最新バージョンを使用する」を参照してください。

http(s)://HOSTNAME/login でお使いの GitHub Enterprise Server インスタンスにサインインします。
GitHub Enterprise Server の管理アカウントから、任意のページの右上隅でをクリックします。
[サイト管理者] ページにまだ表示されていない場合は、左上隅の [サイト管理者] をクリックします。
[ サイト管理者] サイドバーで [Management Console] をクリックします。
[設定] サイドバーで [セキュリティ] をクリックします。
[セキュリティ] で、 Dependabot security updates を選択します。
[設定] サイドバーで [設定の保存] をクリックします。

注: [Management Console] に設定を保存すると、システムサービスが再起動され、ユーザーに表示されるダウンタイムが発生する可能性があります。
設定の実行が完了するのを待ってください。
[Visit your instance](インスタンスにアクセスする) をクリックします。
依存関係を更新する pull request を作成するように、専用セルフホステッドランナーを構成します。これは、ワークフローで特定のランナーラベルが使われるために必要です。詳しくは、「エンタープライズでの Dependabot 更新プログラムのセルフホステッドランナーの管理」を参照してください。
GitHub Enterprise Server の右上で、ご自分のプロフィールフォトをクリックしてから、 [Enterprise 設定] をクリックします。
[Enterprise アカウント] サイドバーで、 [GitHub Connect] をクリックします。
[Dependabot] で、[ユーザーは脆弱でないオープンソースコードの依存関係に簡単にアップグレードできる] の右側にある [有効] をクリックします。

Dependabot alerts を有効にする場合は、Dependabot security updates に対して GitHub Actions を設定することも検討する必要があります。この機能により、開発者は依存関係の脆弱性を修正できます。詳しくは、「エンタープライズでの Dependabot 更新プログラムのセルフホステッドランナーの管理」を参照してください。

セキュリティを強化する必要がある場合は、プライベートレジストリを使用するように Dependabot を構成することをお勧めします。詳しくは、「Dependabot のプライベートレジストリへのアクセスの構成」を参照してください。